Varmennusmenettelyt

Varmennusmenettelyt ovat menetelmiä, joiden tarkoituksena on varmistaa tiedon, henkilöllisyyden tai toiminnan alkuperä sekä eheyden ja muuttumattomuuden. Niitä käytetään sekä digitaalisten että fyysisten asioiden yhteydessä, esimerkiksi sähköisissä allekirjoituksissa, dokumenttien todentamisessa ja palveluiden pääsynhallinnassa.

Varmennusmenettelyt voidaan luokitella tarkistus- ja varmennusprosesseihin, joissa keskitytään joko henkilön, tiedon tai prosessin oikeellisuuden varmistamiseen. Digitaalissa ympäristössä keskeisiä elementtejä ovat identiteetin vahvistaminen, tietojen eheyden turvaaminen kryptografian avulla sekä digitaalisten allekirjoitusten ja sertifikaattien validointi. Hyväksyttyjen sertifikaattien ketjut, aikaleimat ja valvontarajapinnat (kuten PKI-arkkitehtuuri, CRL/OCSP) kuuluvat usein mukaan.

Varmennusmenettelyt voivat olla sekä ennalta määrättyjä että adaptiivisia, ja ne voivat koskea sekä yksittäisiä tapahtumia että jatkuvaa valvontaa. Tyypillisiä vaiheita ovat vaatimusten määrittäminen, todentamisen kohteen kerääminen, suorituskyvyn tarkastus, lopullinen päätös ja tiedon säilytys sekä auditoitavuus. Lisäksi prosessiin kuuluu yleensä jatkuva ylläpito, kuten revokaatiot, uudelleentodentaminen ja riskienhallinta.

Käytännön sovelluksia ovat esimerkiksi verkkosivujen TLS-sertifikaattien voimassaolovarmistus, sähköinen identiteetin todentaminen julkishallinnon palveluissa sekä digitaalisten asiakirjojen tai ohjelmistojen allekirjoitusten varmentaminen. Varmennusmenettelyt tukevat luottamusta, kun osapuolet voivat luottaa siihen, että tiedot ovat peräisin oikeasta lähteestä ja että niitä ei ole muokattu.

Lainsäädäntö ja standardit ohjaavat varmennusmenettelyjen toteutusta. Euroopan unionin alueella sähköinen tunnistaminen ja luotettavat palvelut -direktiivit (esimerkiksi eIDAS) sekä ISO/IEC-standardit ohjaavat näiden menettelyiden vaatimuksia. Organisaatiot voivat käyttää niitä ohjenuorina riskienhallinnassa ja tietoturvan hallinnassa.